Composer安装包时不会自动阻断高危漏洞，仅在install/update结束后顺带输出安全告警（需notify-on-security-advisories为true、能连通packagist.org、包版本被Symfony数据库收录），不中断流程、不校验完整性、不检查dev依赖；真正卡点需组合composer audit等外部命令实现。
Composer 安装包时**不会自动阻断高危漏洞**，它只在 composer install 或 composer update 结束后，**顺带输出安全告警（如果启用且网络可达）**，但不中断流程、不校验文件完整性、也不检查 dev 依赖——你得主动配置和验证。
composer install/update 时的安全提示从哪来？
这个提示来自 Packagist 的安全通告接口，前提是：
-
notify-on-security-advisories全局配置为true（默认 Composer 2.2+ 开启，但私有镜像常关闭） - 命令运行时能连通
https://packagist.org（国内 CI 常因 DNS 或代理失败） - 锁文件中包的版本被收录在 Symfony Security Advisory Database 中（私有包、fork 包、未维护包基本不收录）
执行 composer config --global notify-on-security-advisories 看返回值；若为空或 false，立刻补上 composer config --global notify-on-security-advisories true。别信“默认开启”，阿里云、腾讯云等镜像源通常禁用该功能。
为什么 install 后没报错，但实际有高危 CVE？
常见原因不是 Composer 漏检，而是你没触发它的检查机制：
- 项目没运行过
composer update或composer install，composer.lock过期或缺失 → audit 和告警都无从谈起 - 用了
--prefer-source或本地path仓库 → 跳过 dist.sha256 校验，也绕过安全通告查询 - CI 中用了
composer install --no-scripts --no-plugins，但没加--no-interaction→ 交互式提示卡住，看起来像“没提示” - 错误地认为
composer outdated能查漏洞 → 它只比版本号，guzzlehttp/guzzle 7.4.5可能已知 RCE，但只要不是最新版，outdated就不提醒
如何让 install 阶段真正具备安全卡点能力？
靠 composer install 自身做不到。必须组合外部命令，在 install 后立即审计：
- 先确保已安装 Composer 2.5+：
composer --version，低于 2.5 就别试audit，升级优先 - CI 中推荐这条链：
composer install --no-interaction && composer audit --severity=high --severity=critical --no-dev - 注意
--severity不支持medium或low，设了也无效；--no-dev很关键，否则phpunit类工具漏洞会误爆 - 若网络受限，可提前缓存安全数据库：
composer security:check --no-interaction（它支持离线 fallback，比audit更稳）
真正容易被忽略的是：安全检查必须基于当前 vendor/ + composer.lock 的实时状态。如果你在 CI 中先 rm -rf vendor 再 install，但没跑 audit，那等于裸奔上线。
